VPN config OpenVPN: настройка клиента и сервера, файлы .ovpn и безопасность

Что такое OpenVPN и зачем нужен конфигурационный файл

OpenVPN — это открытый набор инструментов для организации защищённых виртуальных частных сетей. Он позволяет соединить сервер и клиентов даже за NAT или файрволами, а также объединить сети удалённых офисов. Благодаря гибкости и кроссплатформенности OpenVPN остаётся одним из самых популярных решений для корпоративного и личного использования.

Конфигурационный файл (обычно с расширением .ovpn или .conf) описывает параметры подключения: адрес сервера, порт, протокол, используемые сертификаты и ключи, а также различные опции туннеля. Без этого файла клиент не знает, куда и как устанавливать соединение. По сути, это текстовый файл, который можно редактировать в любом текстовом редакторе.

В зависимости от роли различают конфигурацию сервера и клиента. Серверный файл задаёт параметры сети, пул IP-адресов для клиентов, сертификаты сервера и правила маршрутизации. Клиентский файл содержит информацию о сервере, клиентские сертификаты и опции, необходимые для установления туннеля. Понимание структуры этих файлов позволяет быстро диагностировать проблемы и адаптировать подключение под конкретные условия.

Установка OpenVPN на Windows и Linux

Для развёртывания OpenVPN на Windows необходимо скачать MSI-установщик с официального сайта openvpn.net. Установщик включает как серверную, так и клиентскую части. При установке важно выбрать компоненты: OpenVPN Service, драйвер Data Channel Offload (ovpn-dco-win) и OpenSSL Utilities. Драйвер TAP-Windows6 рекомендуется только для совместимости со старыми конфигурациями. После установки в системе появляется новый сетевой адаптер OpenVPN Data Channel Offload.

На Linux установка выполняется через пакетный менеджер. Например, в Debian/Ubuntu используется команда apt install openvpn, в CentOS/RHEL — yum install epel-release && yum install openvpn. После установки конфигурационные файлы обычно размещаются в /etc/openvpn/, а служба управляется через systemd.

Важно: на Windows Home редакции возможна установка, но с ограничениями. Для полноценной серверной конфигурации с NAT и маршрутизацией рекомендуется Windows Pro/Enterprise или Windows Server. Десктопные версии Windows ограничивают 20 одновременными подключениями только для файлового доступа, для OpenVPN это ограничение не действует.

Создание сертификатов и ключей с Easy-RSA

OpenVPN использует библиотеку OpenSSL для шифрования и обмена ключами. Для создания собственной инфраструктуры открытых ключей (PKI) применяются скрипты Easy-RSA. Они позволяют сгенерировать корневой сертификат центра сертификации (CA), сертификаты сервера и клиентов, а также ключи Диффи-Хеллмана.

Процесс начинается с инициализации PKI командой ./easyrsa init-pki. Затем создаётся корневой CA: ./easyrsa build-ca. Эта команда запросит пароль для CA и создаст файлы ca.crt и ca.key. Далее генерируется запрос сертификата для сервера: ./easyrsa gen-req server nopass (опция nopass убирает пароль с ключа, что удобно для автоматического запуска, но менее безопасно). После этого запрос подписывается CA: ./easyrsa sign-req server server.

Для каждого клиента создаётся отдельная пара ключей. Команда ./easyrsa build-client-full client_name генерирует сертификат и ключ, защищённый паролем. Если пароль не нужен, используется ./easyrsa gen-req client_name nopass. Сгенерированные файлы (ca.crt, client.crt, client.key) необходимо скопировать на клиентский компьютер и указать пути к ним в конфигурационном файле.

Дополнительно для защиты TLS-канала можно сгенерировать статический ключ tc.key командой openvpn --genkey secret tc.key. Этот ключ используется в опциях tls-crypt или tls-auth для защиты от DDoS и сканирования портов.

Структура конфигурационного файла сервера OpenVPN

Серверный конфигурационный файл (например, server.ovpn) содержит директивы, определяющие параметры туннеля. Основные из них:

• port — порт, на котором сервер ожидает подключения (по умолчанию 1194).
• proto — протокол: udp или tcp. UDP предпочтителен для производительности, TCP — для прохождения через строгие файрволы.
• dev — тип виртуального устройства: tun (сетевой уровень, IP-пакеты) или tap (канальный уровень, Ethernet-кадры). Для большинства случаев используется tun.
• ca, cert, key, dh — пути к сертификатам CA, сервера, ключу сервера и параметрам Диффи-Хеллмана.
• tls-crypt или tls-auth — путь к статическому ключу для защиты TLS-канала.
• server — подсеть и маска для выдачи IP-адресов клиентам (например, server 10.24.1.0 255.255.255.0).
• keepalive — интервал пинга и таймаут переподключения.
• persist-key и persist-tun — сохранять ключи и туннель при перезапуске службы.
• data-ciphers — список разрешённых шифров, например AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305.
• log-append и status — пути к лог-файлам.

Пример минимального серверного конфига:

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
tls-crypt tc.key
server 10.24.1.0 255.255.255.0
keepalive 10 120
persist-key
persist-tun
data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305

Важно настроить файрвол, разрешив входящие подключения на выбранный порт. В Windows это можно сделать через PowerShell командой New-NetFirewallRule.

Настройка клиента OpenVPN: параметры и примеры

Клиентский конфигурационный файл описывает параметры подключения к серверу. Основные директивы:

• client — указывает, что это клиентская конфигурация.
• dev — тип устройства, должен совпадать с сервером (tun или tap).
• proto — протокол, обычно udp или tcp.
• remote — адрес сервера (IP или домен) и порт. Можно указать несколько строк remote для резервирования.
• resolv-retry — количество попыток разрешения DNS-имени.
• nobind — клиент использует динамический порт.
• persist-key, persist-tun — аналогично серверу.
• ca, cert, key — пути к сертификатам.
• tls-client — указывает, что это клиент TLS.
• tls-auth или tls-crypt — статический ключ, если используется на сервере.
• remote-cert-tls server — проверка сертификата сервера для защиты от MITM-атак.
• keepalive — интервал пинга и таймаут.
• verb — уровень детализации логов (0-9).
• auth-user-pass — если требуется аутентификация по логину/паролю.

Пример клиентского конфига:

client
dev tun
proto udp
remote myvpn.example.com 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
tls-auth ta.key 1
remote-cert-tls server
keepalive 10 120
verb 3

На Windows конфигурационный файл размещается в %ProgramFiles%\OpenVPN\config\, на Linux — в /etc/openvpn/. Для автоматического запуска на Linux файл должен называться client.conf, а служба запускается через systemctl start openvpn@client.

Использование публичных .ovpn файлов: риски и проверка

В интернете существуют каталоги бесплатных OpenVPN конфигураций, например PublicVPNList. Они предоставляют .ovpn файлы для подключения к публичным серверам. Такие конфигурации могут быть полезны для тестирования, обхода региональных блокировок или проверки работы клиента. Однако важно понимать риски.

Публичные VPN-серверы управляются третьими лицами, и их политика конфиденциальности, логирование и безопасность не гарантированы. Перед использованием необходимо проверить:

• Актуальность: конфигурация должна быть недавно проверена (например, в течение 72 часов).
• Скорость и задержку: измеренные значения могут сильно варьироваться.
• Протокол и порт: TCP 443 часто лучше проходит через файрволы, UDP 1194 — быстрее при стабильном соединении.
• Содержимое файла: проверьте remote-хост, сертификаты и опции DNS.

После подключения обязательно проверьте, что ваш IP-адрес изменился, и выполните тест на утечку DNS. Избегайте передачи чувствительных данных (банковские операции, рабочие пароли) через публичные VPN. Для постоянного использования лучше выбрать проверенного коммерческого провайдера.

Как проверить и отозвать сертификаты клиентов

Управление сертификатами — важная часть администрирования OpenVPN. Если клиентский сертификат скомпрометирован или сотрудник уволен, его необходимо отозвать. В Easy-RSA для этого используется команда ./easyrsa revoke client_name. После отзыва создаётся список отозванных сертификатов (CRL), который должен быть указан в конфигурации сервера директивой crl-verify.

Также можно ограничить доступ по времени, задав срок действия сертификата при создании. В файле vars Easy-RSA можно настроить EASYRSA_CERT_EXPIRE (например, 825 дней). По истечении срока клиент не сможет подключиться.

Для повышения безопасности рекомендуется:

• Использовать пароль на клиентских ключах.
• Регулярно обновлять сертификаты.
• Хранить ключи в защищённом месте.
• Включать tls-crypt для защиты от сканирования.

Отзыв сертификата не влияет на уже установленные соединения, но новые подключения будут отклонены.

Решение типичных проблем при подключении OpenVPN

При настройке OpenVPN часто возникают следующие проблемы:

• Нет соединения: проверьте, что порт открыт на файрволе, сервер запущен, и клиент использует правильный протокол и порт.
• Ошибка сертификата: убедитесь, что пути к сертификатам в конфиге корректны, и сертификаты не истекли.
• Проблемы с MTU: если соединение устанавливается, но трафик не проходит, попробуйте уменьшить MTU (например, tun-mtu 1400).
• Медленная скорость: проверьте, не используется ли сжатие (comp-lzo), которое может снижать производительность на современных процессорах.
• Утечка DNS: настройте клиент на использование DNS-серверов VPN, добавив dhcp-option DNS 10.24.1.1 или аналогично.
• Конфликт подсетей: если локальная сеть клиента совпадает с VPN-подсетью, измените подсеть на сервере.

Для диагностики используйте логи: на сервере log-append server.log, на клиенте verb 3 или выше. Команда openvpn --config client.ovpn в терминале покажет подробный вывод.

Автоматический запуск и несколько конфигураций

Для удобства можно настроить автоматический запуск OpenVPN при старте системы. На Windows необходимо переместить конфигурационный файл в папку config-auto (вместо config) и убедиться, что служба OpenVPNService настроена на автозапуск. На Linux используется systemctl enable openvpn@client.

Если нужно подключаться к разным VPN-серверам, создайте несколько конфигурационных файлов. На Windows в папке config создайте подпапки для каждого сервера, в каждой разместите свой .ovpn файл и сертификаты. На Linux создайте отдельные каталоги и файлы client1.conf, client2.conf и т.д., затем запускайте их через systemctl start openvpn@client1.

В клиентском GUI (OpenVPN GUI) можно переключаться между конфигурациями, выбирая нужный профиль из меню.

Безопасность и рекомендации по использованию OpenVPN

OpenVPN — мощный инструмент, но его безопасность зависит от правильной настройки. Основные рекомендации:

• Используйте современные шифры: AES-256-GCM, ChaCha20-Poly1305.
• Включите tls-crypt или tls-auth для защиты от DDoS и сканирования.
• Ограничьте доступ по сертификатам, не используйте duplicate-cn.
• Регулярно обновляйте OpenVPN и Easy-RSA.
• Настройте файрвол, разрешающий только необходимые порты.
• Для сервера используйте выделенный IP-адрес или настройте NAT на роутере.
• Не передавайте приватные ключи по незащищённым каналам.
• Проверяйте утечки DNS и WebRTC после подключения.

Помните, что публичные VPN-конфигурации не гарантируют конфиденциальность. Для критически важных задач используйте собственный сервер или доверенного провайдера.

Вопросы и ответы